美国卫生部（HHS）民权办公室10月29日宣布，已就宾夕法尼亚州医疗系统Lehigh Valley Health Network（LVHN）的勒索软件事件达成和解，LVHN同意实施由该办公室监督三年的纠正行动计划。这是民权办公室第22起勒索软件执法行动。
据HHS发布的通报，LVHN于2023年5月15日提交数据泄露报告，称2023年2月4日在自家IT系统中发现可疑活动，后确认系勒索软件攻击。受保护健康信息（PHI）被窃取并发布在暗网上，涉及248,359人，内容包括正在接受放射肿瘤治疗的癌症患者的敏感照片，以及姓名、地址、出生日期、社会安全号码、驾照号码、财务信息、诊断与病情、化验结果、用药和治疗信息。
HHS在通报中列举了LVHN的多项违规：未对全部电子受保护健康信息（ePHI）的保密性、完整性和可用性所面临的风险与漏洞进行准确、彻底的风险分析；未落实定期审查审计日志、访问报告和安全事件跟踪报告等信息活动记录的程序；不当披露248,359人的PHI；未及时通知受影响个人；未及时通知HHS部长。民权办公室主任Paula M. Stannard在通报中表示，未开展准确彻底的风险分析、未定期审查信息系统活动，会使受监管机构成为网络攻击的诱人目标，防范网络攻击的最佳方式是全面执行HIPAA安全规则。
根据和解协议，LVHN承诺采取措施确保遵守HIPAA规则并保护ePHI安全，包括：开展准确彻底的风险分析；制定并实施风险管理计划，处置风险分析中发现的安全风险与漏洞；视需要审查、制定或修订面向全体员工的HIPAA培训材料。
HHS民权办公室同时建议受监管机构（医疗服务提供者、健康计划、医疗信息交换中心及其业务伙伴）采取识别ePHI所在位置、定期开展并更新风险分析、确保审计控制到位、定期审查信息系统活动、加密传输中和存储中的ePHI、定期开展HIPAA培训等措施。和解协议与纠正行动计划的全文可在HHS网站查阅。
评论